病毒档案之后台运行进行恶意控制和破坏病毒

帐号被偷，密码被盗，机器被人远程控制着放歌/开关机/屏幕倒转过来，硬盘不住地转动将关键资料向外发出，就是进行恶意控制和破坏病毒的杰作了。这类病毒和可执行文件病毒最本质的区别是——恶意控制和破坏病毒本身是独立的程序，而不是寄生于另一个程序中。这类病毒的编写主要在于对操作系统本身接口的熟悉，网络传输的熟悉，以及对隐蔽性的要求，此类病毒的编写可使用多种语言，对病毒写作者本身的实力也是一种考验。这个病毒中，最出名的莫过于BO了，可以说，它指引了这种病毒在windows平台的发展理念。这类病毒就是统称的“木马”病毒，通过系统漏洞/用户操作疏忽进入系统并驻留，通过改写启动设置来达到每次启机运行或关联到某程序的目的。在windows系统中，表现为修改注册表启动项、关联Explorer、关联notepad等方式。

进行恶意控制和破坏病毒浅析：

恶意控制和破坏病毒编写者的功力就有高有低了。高手所编写的远程控制系统可以和最优秀的远程管理工具相媲美，例如开山鼻主BO，国产的冰河，著名的黄金木马sub7都属于这一类，这类程序分为2个部分，控制端和被控制端；而在unix类平台下的木马经常是一个简单外部命令的重新实现——例如将原本的ls命令替换掉，用自己写的一个程序代替，在执行正常文件列表的同时隐含执行特殊命令，这类木马的编写水平也相当高，但在windows下极少出现类似程序替代的木马，恶意控制和破坏病毒的联系一般是单向进行的；还有一类木马就是网络盗窃性质的，以im软件，网络游戏盗号居多，近来发展为对金融业有所染指，这类一般就是通过程序监视当前窗口，并获得当前窗口特定控件的值（用户名/密码框里的值），然后通过email，远程登陆web数据库等方式把获得的密码发出去，这类程序具有一定编程基础的各位朋友都能做到；第4类是惟恐天下不乱的纯捣乱程序，原理跟可执行文件病毒似，不过是朝文本框写信息，例如著名的qq尾巴病毒，恶意控制和破坏病毒由于病毒作者将源代码放出，改写起来相当容易，智商85以上的人士都能胜任的。这类木马病毒中的杰出代表为BO、冰河、Sub 7等。

进行恶意控制和破坏病毒感染途径：

利用系统漏洞——造成溢出——获取一定权限——利用其他漏洞或用户设置不当提升权限——上传恶意程序/修改系统设置——启动恶意程序。是这类病毒感染的惯用方式。在后期，出现了以诱骗用户执行为主要感染方式的新木马，充分利用了社会工程学，例如在im类软件上给你发送一个名为“我的照片.exe”这样的文件给你，引诱你打开执行。由于木马的用途主要是将病毒编写者感兴趣的资料回发——因此感染途径99%来源于网络，在完全无网络单机状态下的木马等于是没用的死马。

进行恶意控制和破坏病毒自查：

由于木马发送者的企图都是通过控制你的机器操作来获得一定利益，因此都会设置启动时加载该程序。控制类的木马需要占用相当一部分系统资源——用户直接能感觉到的就是启动速度变慢，系统运行速度变慢；而帐号盗取类的木马由于需要获得特定窗口的窗口句柄，因此会在当前窗口切换的时候进行读取判断——在机器配置不高的机器上，如果快速轮循窗口，则感觉到窗口出现速度明显下降；恶作剧类的木马就不用提了，大家都知道不对劲。

木马病毒在编制不够完美的时候，会导致程序溢出——例如运行ie的时候多次出现“非法操作”、打开资源浏览器速度狂慢等现象，也可能是系统中了木马后的蛛丝马迹。在现象判断上，确实没有切实的客观规则可循，主要是依据主观经验判断。总之——如果您没有安装任何软件/修改任何设置，原本昨天速度飞快的机器今天要么总是非法操作，要么速度延迟——那么您被感染了病毒或木马的可能性相当大了。当然，如果您的qq帐号，传奇密码被偷了——更有100%的可能性是潜伏着的木马干的。另外，相当多的木马程序由于带了hook钩子，常常导致调试类程序出错，如果您使用softice调试某些程序时经常无故报错，那或许也是系统中挂接了异常的hook程序——木马。

进行恶意控制和破坏病毒查杀：

木马病毒的繁衍也是相当快速的，特别是行为上难以判断——合法远程控制软件和木马在本质上基本上无区别，在执行行为上也相当类似。而木马的控制协议一般是走tcp/ip协议，理论上是可以在65535个端口中随意选择（当然实际中会避开一些保留端口，防止系统冲突——木马最必要的生存条件就是其隐蔽性），因此也无法利用端口方式准确判断出病毒种类；通过特征码方式，如果木马作者没有留下版本信息或说明文字，则也相当难以判断；特别是木马的源代码公开后，想在其中加入一段独特的功能代码不是什么难事，因而衍生的版本特别快也特别多，这更加大了杀毒软件查杀的的难度。

事实上现在世面上的杀毒软件对待木马的查杀能力并不够强大，如果有可能，可以选择专用的木马查杀软件，如木马克星等。当然，木马也有手工解决的办法，而且对待层出不穷的木马也只有手工查杀才能以不变应万变——感染/修改设置/启动加载/运行获取密码 是木马必经过的4个步骤，让我们看看怎么找出藏在机器中的马来——由于木马需要启动加载执行，因此大多采取修改启动项目来加载的方式进行——那么，我们就到启动项目里去牵马吧；

服务器租用/服务器托管中国五强！虚拟主机域名注册顶级提供商！15年品质保障！--亿恩科技[ENKJ.COM]